چشم اندازی بر 20 سال امنیت (قسمت سوم)

تکامل تـدریجی امنیت پیـام رسـانی فوری
کمتر از یک دهه پیش بود که تمام اینترنت در AOL: Prodigy و Compu Serve خلاصه میشد و در همین دوران ICQ به عنوان نخستین برنامه پیام رسانی فوری ظهور کرد. در آغاز اما بحث امنیت در این موضوع چندان نمود نداشت. به عبارتی حتی اگر نگرانی هم در خصوص امنیت وجود داشت تنها با بستن پورتهایی خاص توسط نرم افزار دیواره آتش و ایجاد ممنوعیت دسترسی به چندURL مسئله حل میشد.

اما امروزه بحث پیام رسانی فوری Instant Messaging بسیار گستردهتر و جذابتر از آن چیزی بوده است که در طول یک دهه پیش، کاربران از آن استفاده میکردند.

امروزه بازیگران جدیدی چون اسکایپ ، ویندوز لایو ، توییتر و گوگل تاک نیز در این عرصه حضور دارند که علاوه بر بحث پیام رسانی فوری به ارائه خدماتی چون VOIP ، انتقال فایل، به اشتراک گذاری ویدیو و حتی صفحه نمایش)پشت زمینه سیستم عامل(میپردازند وبا توجه به رشد فزاینده کاربرانی که از این خدمات استفاده میکنند، بحث توجه و امنیت این کاربران بسیار مهم و حیاتی است.

موضـوع تـامیـن امـنیت نـرم افزارهـا و محیـطهـای پیام رسانی فوری امروزه از یک بحث ساده به مباحثی چون تامین امنیت، نقل و انتقال دیتا و فایل، حفاظت در مقابل ویروسها، جلوگیری از حمله بدافزارها و ... در بحث نرم افزارهای پیام رسانی فوری تبدیل شده است.

و همه اینها در حالی است که این مقوله به صورت یک بخش فرعی در شبکههای اجتماعی چون فیس بوک نیز وجود دارد که بر اهمیت توجه به موضوع امنیت سامانههای پیام رسانی فوری افزوده است.

امنیـت پیـامـک
با در نظر گرفتن بیش از یک تریلیون پیامک ارسال شده در سال ۲۰۰۸ شکی باقی نیست که پیامک یکی از محبوبترین کانالهای ارتباطی در بخش موبایل است چرا که ابزاری آسان و ارزان برای جابه جا کردن اطلاعات مهم و کم حجم است.

با این حال به خاطر امنیت پایین این کانال ارتباطی، بسیاری از سازمانها و بنگاهها از این کانال استفاده چندانی نمی کنند.

بحث امنیت پیامک نیز بیشتر زمانی مطرح شد که موبایلهای دارای سیستم عامل به بازار ارائه شدند و تولیدکنندگان به سمت فروش این دست موبایل ها رفتند.

سیستمهای عاملهایی چون آیفون، سیمبین ، ویندوز موبایل و آندروید. در حال حاضر اصطلاحاتی چون حمله پیامکی، کلاهبرداری پیامکی، پیامکهای فیشینگ و... به تازگی و به تدریج جای خود را در فرهنگ واژگان امنیت فناوری اطلاعات باز کردهاندو هکرهای دنیای فناوری ارتباطات به خوبی از این تکنیکها برای رسیدن به اهداف خود استفاده میکنند.

اما چرا بستر امنیتی انتقال پیامک تا این حد آسیب پذیر است؟ یکی از دلایل اصلی این مسئله این است که همواره این سامانه فعال است. فرآیندهای حمله با استفاده از بستر پیامک بر این اساس است که هکر از ضعفهای موجود در زیرسختهای شرکتهای ارائه دهنده خدمات موبایل استفاده میکند.

و در واقع نوعی ضعف زیر ساخت در تمامی اپراتورهای تلفن همراه در سرتاسر دنیا در خصوص ارسال و دریافت پیامک وجود دارد که برای رفع آن و ارتقا امنیت آن به یک همت گروهی نیاز است. نکته حائز توجه در این خصوص این است که هنوز دستورالعملهای قابل استناد و یکسانی که همه اپراتورها را

ملزم به رعایت آنها کند که به واسطه آن بتوان امنیت فضای تبادل پیامک را تا حدی ارتقا داد وجود ندارد.

چرا که اگر همچنان به این مسئله توجه نگردد هکرها هر روز با استفاده از شیوهها و روشهای دقیقتری اقدام به حمله به کاربران میکنند.

البته در این خصوص تلاشهایی نیز صورت پذیرفته که از جمله آنها میتوان به پروتکل Secure SMS اشاره کرد. ولـی تا همـهگیر شدن استفـاده از این پروتکـلها در تمامی اپراتورهـای تلفن همـراه همچنـان راه زیادی باقـی مانـده است.

امـنیـت شـبکـه
بیـست سـال امنـیت شبـکه
بیست سال پیش بحث امنیت در شبکه ها تا حد مناسبی مراعات میشد ولی به صورت مجزا و بخش بخش. اما انتشار کتابی با عنوان Firewalls and Internet Security در سال ۱۹۹۴ در ایالات متحده شاید نقطه عطفی در خصوص توجه به بحث امنیت در شبکههای رایانهای بود.

در همین ایام چاپ مقالهای با عنوان Improving The Security of Your Site by Breaking Into It توانست ایدهها و نظریات جدیدی را در خصوص ارتقا امنیت شبکه ارائه دهد.

بر همین اساس اغلب، آسیب پذیری در نوع کد نویسی باعث ایجاد حفره های نفوذ می شود، بنابراین با کاهش تعداد کدها به طور طبیعی تعدادحفرههای نفوذ نیز کاهش می یابد و بنابراین آسیبپذیری نیز کاهش میابد. همین نظریه که از آن به عنوان ایدهی Zero Defect Code Equals Security نیز یاد میشود همچنان پا برجا مانده است و در بحث ارائه وصلههای امنیتی و دیوارههای آتش کاربرد دارد. اما کاهش آسیبپذیری، یکی از راهکارهای ارتقا امنیت است.

سامانه های تست نفوذ برای نخستین بار در میانه دهه ۹۰ میلادی برای ارزیابی وضعیت امنیت پروتکلها مورد استفاده قرار گرفتند و پس از آن بهینه سازیها از سطوح شبکه به تحلیلهای کاربردی ترقی یافت.

به طور خلاصه، بسترهای شبکه در حال حاضر نیازمند بازنگری و ارزیابی محتوا هستند و در مورد محتوایی چون ایمیلها، فایلها، تصاویر، فیلمها و صداها، این بازنگری و ارزیابی نه تنها در خصوص ارزیابی حمله بلکه در خصوص اعمال سیاستهای امنیتی، سو استفاده، خروج دیتا و ویروسها نیز باید صورت پذیرد.

ابزارهای شبکه امروزه دیگر به عنوان ابزاری جدا از سایر ابزارهای رایانهای نیستند، بلکه به صورت یکپارچهای در سایر ابزارهای امنیتی تنیده شدهاند که این مسئله در پیش برد طرح ریزی برنامههای ارتقا امنیت بسیار اهمیت دارد.

دو دهـه مـواجهـه با تهـدیـد
همواره اعتقاد براین وجود دارد که مسئله امنیت شبکه ارتباط موثری با چگونگی رشد اینترنت و برنامههای کاربردی آن دارد و در طول این دو دهه این ادعا به خوبی ثابت شده است. قبل از استفاده گسترده از شبکه اینترنت، به دلیل مجزا بودن و بسته بودن شبکهها، بحث امنیت در این شبکهها بسیار محدود و سطحی بود و اصولا جابهجایی اطلاعات به صورت گستردهای با استفاده از فلاپی دیسکها صورت میگرفت و بنابراین تهدیدات کمی وجود داشت. به همین خاطر اصولا بحث امنیت IT بسیار سطحی و سادهتر از آن چیزی بود که امروزه به آن نیاز است.

پیدایش اینترنت در اوایل دهه ۹۰ به صورت زیر بنایی تمامی تعاریف و برداشتهای قبلی از امنیت فناوری اطلاعات را دگرگون ساخت و ظهور این پدیده مسئلهای شد برای آسیبپذیری بیشتر سامانههای رایانهای و در واقع میتوان گفت که به موازات گسترش اینترنت و ابزارها و برنامههایی که بر مبنای اینترنت کار میکنند، تهدیدات و خطرات امنیتی نیز گسترش یافته اند.

بر همین اساس دیوارههای آتش و VPN ها به عنوان ابزارهای اصلی ارتقا امنیت در نظر گرفته شدند و همزمان با بیشتر شدن سرعت تبادل اطلاعات در شبکه نیز امکانات و ویژگیهای این سامانهها نیز ارتقا پیدا کرد و البته هزینههای استفاده از این سامانهها به مراتب در دسکتاپها کمتر و در مین فریم ها بیشتر بود.

هنگامی که برنامههای اینترنتی نیز توسعه

پیدا کردند، به یک ساختار همه جانبه در جهت ارتقا امنیت سامانههای ر ایانهای نیاز پیدا شد. اما در آن زمان بازار پرشد از ابزارها و نرم افزارهای امنیتی که به صورت فردی و برای بخشها و قطعات مختلف طراحی شده بودند. (مثل AV، IPS و ضد ویروسها، دیوارههای آتش و فیلتر کردن URL و. . .) و به عبارتی راهکاری یکپارچه که بتواند به طور کلی هم بخشها و ابزارهای یک شبکه را پایش کند، وجود نداشت که این مسئله در نهایت منجر به توسعه ابزاری گردید که امروزه به نام UTM: Unified Threat Management آنرا میشناسیم.

می توان گفت که پیشرفت پرشتاب رشد این فناوری نیز در خلال ده سال گذشته روی داده است. زمانی که مسئله امنیت از راه حلهای نرم افزار محور به سمت ارائـه راهکـارهـایی مبتنـی بر ترکیبـی از فنـاوریهای نرم افزاری و سخت افزاری حرکت کرد.

و باید گفت که شتاب توسعهی UTM ها امروزه به مراتب سرعت بیشتری از قبل یافته است و با توجه به اینکه هکرها نیز امروزه از روشهای پیچیده تری برای حمله استفاده میکنند، به نظر میرسد که این سرعت شتاب بیشتری نیز داشته باشد.

یـونیـکس، امنیـت و . . .
یونیکس در آزمایشگاههای AT & T برای اولین بار در سال ۱۹۶۹ پا به عرصه ظهور گذاشت. اما بعد از آن این سیستم عامل با تغییرات فراوانی روبرو گشت که این تغییرات هم توسط توسعه دهندگان این سیستم عامل و هم توسط هکرها صورت پذیرفت.

در سال ۱۹۹۳، Free BSO فعالیت خود را در جهت ارائه یک سیستم عامل رایگان و قابل اطمینان به جامعه آغاز کرد. این فعالیت برای چندین سال ادامه یافت. در حال حاضر یونیکس و لینوکس دارای محبوبیت فراوانی هستند و توانستند افقها و تعاریف جدیدی را در خصوص بحث امنیت ارائه کنند.

همانگونه که تهدیدات بیشتر و بیشتر می شوند، یونیکس، لینوکس و سایر سیستم عاملها تمرکز بیشتری روی تلاشهای منسجم جهت ارائه یک وضعیت امنیتی مناسب خواهند داشت و در حال حاضر توسعه دهندگان سیستم عاملها تمرکز خاصی روی ایجاد حسابهای کاربری مدیریتی دارند تا به این دست از کاربران امکان مدیریت بهتر رایانهها و شبکهها را بدهند.

در اواسط دهه ۹۰، ابزارهای جدیدی که مبتنی بر اینترنت نیز بودند ارائه شدند تا بتوانند شرایط امنیتی مناسبی را برای کاربران فراهم کنند که از این دست ابزارها می توان به ابزارهایی چون، پایشگران وضعیت آسیب پذیری داخلی، وصله های امنیتی، سامانههای تعیین هویت پیشرفته، ابزارهای قدرتمند کردن کلمات عبور، ابزارهای شکستن کلمه عبور و... اشاره کرد.

علاوه بر آن ابزارهای لاگین کردن، کشف کنندههای نفوذ، ابزارهای گزارش دهنده وضعیت سیستم و پایش امنیت ایمیل اغلب در بستر سیستم عامل یونیکس برای اولین بار ارائه شده اند و در نهایت توسعه داده شده و اکنون در سایر سیستم عاملها نیز از آن استفاده می شود.

حتی بعدها نیز برنامههایی چون دیوارههای آتش، پایشگران حملات بلادرنگ، ابزارهای رمزنگاری، ابزارهای پیکر بندی سرورها، و. . . در قالب برنامه هایی تحت یونیکس برای اولین بار ظهور کرده است. در حال حاضر نیز ادامه این روند در نسخه های جدید یونیکس و لینوکس به خوبی دیده می شود و حتی سطح ابزارهای امنیتی که در این خصوص در بستر این سیستم عامل ارائه شده اند نیز با رشد قابل توجهی نسبت به گذشته روبرو شده است.

امنیـت وینـدوز
این موضوع در طول بیست سال گذشته فراز و فرودهای فراوانی را تجربه کرده است، در حدود بیست سال پیش بود که ویندوز۳ به عنوان شروع قابل قبولی از ویندوز، پا به عرصه ظهور گذاشت، اما بدون امنیت!

در واقع تا قبل از ارائه نسخه Windows NT ۳.۵۱، ویندوز واقعا یک سیستم عامل نبود، که همین نسخه نیز در

حدود پانزده سال بعد ارائه شد و همین هسته اصلی NT که آن زمان ارائه شد همچنان به عنوان هسته اصلی ویندوزهای امروزی )یعنی ویندوز۷( کاربرد دارد، البته تلاشهای قابل تقدیری در همان زمان ارائه شد که تا حدی بتوان وضعیت امنیتی قابل قبولی برای این نسخه ویندوز فراهم کرد، امابه هر صورت ضعفهای فراوانی نیز در کد نویسی این ویندوز وجود داشت که آثار آن حتی تا امروز نیز به وضوح دیده می شود.

با این وجود ، این نکته که مایکرو سافت تمایل به تغییر دارد نیز شاید خبر خوشی برای کاربران باشد. به طور مثال امروزه مایکروسافت در جهت ارائه به موقع وصلههای امنیتی ویندوز گامهای مهمی برداشته و حتی کارایی این وصلهها نیز به شدت افزایش یافته است، اما مایکروسافت همچنان به تغییرات زیادینیاز دارد و میتوان گفت که ویندوز در راه ایجاد یک سامانه امنیتی قابل اطمینان، هنوز مراحل کودکی خود را پشت سر میگذارد.

فـنـاوری بـی سـیـم
تکـامـل تـدریـجـی امنـیـت
پیدا کردن راه حلهای فنی برای مشکلات امنیتی بسیار آسان است ولی متقاعد کردن کاربران برای اینکه از این راه حلها استفاده کنند و همواره آنها را مد نظر قرار دهند به مراتب سخت تر است و شاید بررسی بحث امنیت در سامانههای بیسیم مهمترین و بهترین دلیل این مدعا باشد.

۱۰ سال قبل بحث امنیت در شبکه های LAN بیسیم در موضوع رمزنگاری روی لینکهای (Wi-Fi۸۰۲.۱۱) خلاصه می شد. نخستین استانداردی که در حوزه بیسیم به کار برده شد استاندارد WEP: Wired Equivalent Privacy بود.

هدف این استاندارد ارائه یک بستر امن و قابل اطمینان برای ایجاد دسترسی و یکپارچه کردن اطلاعات است، اما در مدت زمان کوتاهی به سبب نقایصی که در این استاندارد وجود داشت، آن را کنار گذاشتند و تلاشها برای تدوین یک استاندارد جدید که بر اساس ساختار شبکههای بیسیم باشد، آغاز شد که در نهایت این تلاشها به ارائه استانداردهای جدید با نام IEEE ۸۰۲.۱۱i یا WPA/WPAZ: Wi-Fi Protected Access منجر گشت.

گرچه ارائه نسخه قابل اطمینان و مناسبی از همین استاندارد نیز عملا تا سال ۲۰۰۷ اتفاق نیفتاد و بعد از این سال بود که استفاده فراگیر از این استاندارد آغاز شد چراکه استاندارد WEP نیز به قدری ضعیف شده بود که شبکههای مبتنی بر آن در عرض ۵ دقیقه هک میشدند و البته شبکههای مبتنی بر این فناوری با سرعت زیادی در بسیاری از شرکتها، سازمانها، خانهها، فروشگاهها،فرودگاهها و ... در حال گسترش بوده و هستند و بنابراین نیاز به حفظ امنیت این شبکهها بیش از پیش احساس می شد.

در نهایت اما، امروزه جهت تامین امنیت مناسب در شبکههای Wi- Fi به نظر میرسد که حرکت به سمت WPAZ برای ایجاد ساختارهای ۲ لایه در این شبکهها اجتناب ناپذیر باشد چرا که این ساختار کمک فراوانی به اعمال مدیریت فراگیر در شبکه خواهد کرد.

تکـامــل Mobile Computing
ویژگـیهایی چون آزادی مطلـق و انعطاف پذیـری که بر اساس آن میتوان راحتی فراوانی در چیدمان محل کار یا خانه داشت، باعث شده که علاقهمندی به استفاده از این شبکه هر روز افزایش یابد. اما همین ویژگیها باعث شد که بسیاری از کاربران از سرخوشی فراوانی که استفاده از این شبکهها به آنها می دهد، آنقدر حظ ببرند که اصولا موضوع امنیت آنها به فراموشی سپرده شود.

سامانه های سلولی برای نخستین بار در دهه ۸۰ پا به عرصه ظهور گذاشتند و در آن زمان بسیار گران و از نظر فنی بسیار محدود بودند. بعد

از آن با ورود به دهه ۹۰ و در دورانی که اندکی به تولد فناوری Wi-Fi مانده بود، فناوری شبکههای محلی بیسیم به عنوان مناسبترین فناوری در بخشهای نظامی، تجاری و صنعتی مورد استفاده قرار می گرفتند.

در حال حاضر اما شرایط به کلی دگرگون شده است و با توجه به این تغییرات میتوان گفت که برای تغییر سیاستهای امنیتی باید به ۲ مسئله توجه کرد: مقیاس و استانداردها.

امروزه با توجه به استفاده فراوان از لپ تاپها، تلفنهای سلولی و پیسیها، مواد و لوایح قانونی تغییرات شگرفی کردهاند. استانداردها بر دسترسی پذیری این ابزارها در شرایط مختلف تاکید زیادی دارند و مثلا استاندارد IEEE ۸۰۲.۱۱a/b/g/n به طور فراگیری به بحث تامین نیروی الکتریکی مورد نیاز لپتاپها در شرایط و مکانهای مختلف میپردازد.

اما چه تغییرات جدی از روزهای ابتدایی ظهور شبکههای بی سیم رخ داده است؟
یکم، امروزه تمامی شبکههای IT میتوانند به صورت بی سیم به یکدیگر متصل شوند، هر کاربر و یا کارمند میتوانند به راحتی یک access point شبکه Wi-Fi داشته باشند و آن را به شبکه متصل کند، یا هر کاربر یک دستگاه موبایل همراه خود دارد که به صورت پیوسته به شبکه متصل است.

دوم، امنیت محیطی امروزه به عنوان مفهومی که به تاریخ پیوسته مطرح میشود، کنترلهای دسترسی، تعیین هویت، رمزنگاری و سایر جنبههای امنیتی به تدریج به عنوان مفاهیم که مکمل یکدیگر هستند، بر پر کردن حفرههای امنیتی که میتواند سلامت شبکههای Wi-Fi را به خطر بیندازد عمل میکنند.

آیـنــده
امنـیـت در ابـرهـا
بر خلاف تمامی اخباری که این روزها در خصوص وضعیت پردازشهای ابری منتشر میشود، همچنان راه زیادی تا بالغ شدن و پایدار شدن این فناوری باقی است. میتوان گفت که هر نوع زیرساخت مجازی شدهای که از راه دور بتوان با آن کار کرد، معرف مخاطرات امنیتی خواهد بود که به سبب ماهیت این نوع زیرساختها هیچ نوع مقیاس دقیقی برای اندازهگیری وسعت تهدیدات امنیتی در این خصوص وجود ندارد. این مسئله به طور مستقیم به فراهمکنندگان این سامانهها نیز مرتبط است.

به طور خاص مسئله معماری و پیادهسازی این سامانه جدید مخصوصا زمانی که قرار است با ساختارهای موجود درون سازمانها و شرکتها، همگون گردد بسیار مورد توجه میباشد و مثلا سوالی که مطرح میگردد این است که سامانههای ابری چگونه باید خود را با سیاستهای کنترل دسترسی کاربران هماهنگ کنند؟

یک پاسخ رایج در خصوص اینگونه مسائل امنیتی، SLA: Service Level Agreement می باشد. این ساختار امنیتی به ارائه یک سری از تضمین هایی میپردازد که میتوانند برخی از مسائل و مشکلات امنیتی را رفع کنند.

اما با وجود اینکه SLA میتواند در برخی موارد به ارتقا امنیت سامانه های ابری کمک شایانی کند اما هنوز هم به دلیل فقدان استانداردهای خاص و عمومی در خصوص به کارگیری این فناوری، به خصوص در محیطهای صنعتی، نمیتوان به داشتن امنیتی فراگیر که بتواند به گونهای یکپارچه با فناوری ابری همگون گردد امیدوار بود.

به طور قطع مزایا و امکاناتی که فناوری و سامانههای امنیتی مبتنی بر ابر در اختیار کاربران میگذارند بههیچ عنوان قابل صرف نظر کردن نیست، اما به همان اندازه بحث امنیت در این فناوری نیز به هیچ عنوان قابل صرف نظر کردن نخواهد بود. به همین جهت برای روزهای آینده، تمرکزها بیشتر بر روی طراحی ابرهای خصوصی و ایجاد زیرساختهای مجازی با امنیت بالاتر خواهد بود.